Ledger Terbakar Isu Implan Perangkat: Rp1,5 Triliun Raib, Tether Bekukan Rp160 Miliar

Ledger menghadapi tekanan reputasi setelah penyelidik blockchain melacak aliran dana hingga USD93,2 juta dari ratusan dompet yang terkait dengan perangkat keras yang dijual oleh mitra reseller CryptoBilis. Perusahaan mengklaim insiden ini terbatas pada jalur distribusi pihak ketiga, namun fakta bahwa CryptoBilis tercantum sebagai mitra resmi di situs Ledger membuat klaim tersebut langsung menuai pertanyaan.

Laporan pertama soal pencurian muncul tiga hari sebelum pernyataan resmi Ledger pada Minggu. Perusahaan mengonfirmasi adanya implan perangkat keras tidak sah pada setidaknya satu unit yang terdampak. Namun Ledger tidak merinci apakah dompet yang dikuras mengalami modifikasi serupa, maupun bagaimana perangkat tersebut bisa dimanipulasi sebelum sampai ke tangan pengguna.

Perbedaan angka kerugian menambah kabut informasi. Bitquery, firma analitik blockchain, menyebut telah melacak USD93,2 juta yang mengalir dari 315 dompet di enam jaringan blockchain, dengan mayoritas aset berupa USDT dan token TRON. Platform riset keamanan YFarmX justru mencatat angka lebih tinggi, yakni USD94,5 juta dari 521 alamat di tujuh blockchain. Kedua estimasi bersumber dari data publik on-chain, bukan dari total kerugian resmi yang diakui Ledger.

Langkah Tether membekukan USD10 juta USDT menjadi titik penting dalam penanganan kasus ini. Berbeda dengan bitcoin atau ether yang tidak memiliki otoritas pusat, penerbit stablecoin memiliki kemampuan untuk memblokir token yang terhubung dengan aktivitas kriminal. Namun pembekuan itu hanya menutup sebagian kecil dari total dana yang dilaporkan hilang. Bitquery mencatat sekitar USD81 juta masih dapat dilacak di jaringan, sementara sebagian dana telah berpindah melalui Tornado Cash dan Zcash, dua instrumen yang lazim digunakan untuk menyamarkan jejak transaksi.

Yang membedakan insiden ini dari kasus sebelumnya adalah modus operandi. Pada April lalu, kampanye phishing melalui aplikasi palsu Ledger Live di App Store menguras setidaknya USD9,5 juta setelah pengguna memasukkan frasa pemulihan mereka. Kali ini, penyerang tampaknya memperoleh kunci yang dibutuhkan untuk mengosongkan ratusan dompet secara langsung. Artinya, vektor serangan tidak lagi bergantung pada kelalaian pengguna, melainkan pada integritas perangkat sejak dari rantai pasok.

"Ini bukan insiden CryptoBilis, ini insiden Ledger. Setidaknya akui kekacauan ini," tulis pengguna X dengan akun MyCryptoParadise, merangkum kemarahan komunitas atas upaya perusahaan membatasi lingkup tanggung jawab.

Ledger mengimbau pelanggan CryptoBilis untuk tidak mengaktifkan perangkat yang belum pernah dipakai. Bagi yang sudah menggunakannya, perusahaan menyarankan pemindahan aset ke perangkat baru dengan frasa pemulihan yang baru dibuat. Imbauan ini menyiratkan bahwa perangkat yang beredar melalui jalur tersebut tidak dapat lagi dianggap aman, meski tidak ada pernyataan resmi soal berapa banyak unit yang terpapar.

Bagi pasar kripto Indonesia, kasus ini memperkuat kekhawatiran yang sudah lama mengemuka: keamanan aset digital tidak berhenti pada kekuatan algoritma atau frasa rahasia, tetapi juga bergantung pada rantai distribusi perangkat keras. Banyak investor ritel di dalam negeri mengandalkan dompet keras sebagai benteng terakhir setelah serangkaian peretasan bursa. Ketika celah justru muncul dari perangkat yang dianggap paling aman, kepercayaan terhadap ekosistem penyimpanan mandiri bisa terguncang. Otoritas jasa keuangan dan bursa kripto domestik mungkin perlu memperjelas standar sertifikasi perangkat yang dijual di pasar Indonesia, termasuk kewajiban audit jalur pasok.

Pertanyaan yang belum terjawab justru yang paling krusial: apakah Ledger akan menanggung kompensasi bagi korban, dan sejauh mana tanggung jawab merek terhadap mitra reseller yang ternyata mendistribusikan perangkat bermasalah? Selama perusahaan belum memberikan angka kerugian resmi dan skema pemulihan, ketidakpastian akan terus membebani kepercayaan pengguna. Industri dompet keras kini dituntut membuktikan bahwa keamanan bukan sekadar klaim pemasaran, melainkan komitmen yang dapat diaudit dari pabrik hingga tangan pengguna.